Dans le contexte de la crise sanitaire liée au coronavirus, la Cnil, dans une communication du 7 mai 2020, rappelle les principes applicables à la collecte et à l'utilisation des données de santé par les employeurs aux fins de limiter la propagation du virus au sein des entreprises.

Au nom de l’obligation de sécurité, l’employeur doit respecter un protocole strict pour protéger les salariés et le public et éviter toute contamination au sein de l’entreprise (FAQ à consulter que le site du ministère du Travail). Concernant les salariés qui travaillent au contact d’autres personnes (collègues et public), ils doivent, à chaque fois qu’ils ont pu exposer leurs collègues au virus, informer leur employeur en cas de contamination ou de suspicion de contamination au virus.

La Cnil rappelle qu’en raison du caractère sensible qu’elles revêtent, les données relatives à l’état de santé du salarié font l’objet d’une protection juridique toute particulière : elles sont en principe interdites de traitement. Les employeurs ne doivent donc collecter et traiter que les données strictement nécessaires pour prendre des mesures organisationnelles (mise en télétravail, orientation vers le médecin du travail, etc.), d’information, ainsi que certaines actions de prévention aux fins d’éviter toute contamination.

Dès lors, seuls peuvent être traités par l’employeur les éléments liés à la date, à l’identité du salarié, au fait qu’il ait indiqué être contaminé ou suspecté de l’être ainsi que les mesures organisationnelles prises. En tout état de cause, l’identité du salarié susceptible d’être infecté ne doit pas être communiquée aux autres employés.

Communication Cnil du 7 mai